如何为账号内所有EC2实例分配CloudWatch Agent所需权限？

核心结论 #

Default Host Management Configuration（DHMC）无法替代EC2实例的IAM角色——它仅负责统一分发CloudWatch Agent的采集配置，不提供AWS API调用所需的身份凭证。你遇到的NoCredentialProviders错误，本质就是实例没有关联具备权限的IAM角色，导致Agent无法获取合法凭证调用CloudWatch服务。

错误日志 #

2024-09-22T15:22:51Z E! [outputs.cloudwatchlogs] Aws error received when sending logs to /aws/ec2/lp-cl-logs/i-019bcb8a28594532f: NoCredentialProviders: no valid providers in chain caused by: EnvAccessKeyNotFound: failed to find credentials in the environment. SharedCredsLoad: failed to load profile, . EC2RoleRequestError: no EC2 instance role found caused by: EC2MetadataError: failed to make EC2Metadata request
404 - Not Found

404 - Not Found

status code: 404, request id:

批量配置权限的可行方案 #

不用逐个实例手动操作，以下两种方式可以批量给EC2实例附加IAM角色：

• 使用AWS Systems Manager自动化文档
  执行预定义文档AWS-AssignIAMRoleToEC2Instance，通过标签筛选目标实例，指定包含CloudWatchAgentAdminPolicy的IAM角色，一键完成批量关联。
• 编写AWS CLI脚本批量处理
  示例脚本逻辑：

  # 获取需要配置的实例ID（可按标签过滤）
  INSTANCE_IDS=$(aws ec2 describe-instances --filters "Name=tag:Environment,Values=Production" --query "Reservations[*].Instances[*].InstanceId" --output text)
  # 批量关联IAM实例配置文件（需提前将目标IAM角色关联到实例配置文件）
  for INSTANCE in $INSTANCE_IDS; do
      aws ec2 associate-iam-instance-profile --instance-id $INSTANCE --iam-instance-profile Name="你的实例配置文件名"
  done
  

后续优化建议 #

• 给新实例配置启动模板/启动配置时，直接关联目标IAM角色，后续创建的实例会自动继承权限，无需重复操作。
• 遵循最小权限原则，不要直接使用CloudWatchAgentAdminPolicy，可基于它裁剪出仅包含CloudWatch指标/日志推送、EC2标签读取等必要权限的自定义策略。

内容的提问来源于stack exchange，提问作者OneTwo